从 ASP 访问 IIS WMI 提供程序时出现访问被拒绝错误

Question

我有一台运行 IIS 6 的 Windows 2003 服务器，并且有一些脚本可以自动设置和创建网站。他们没有在我调试的新服务器上工作（他们已经在其他 3 台 W2K3 服务器上正常工作）。该问题似乎归结为 IIS 提供程序上的 WMI 安全性。下面的 ASP 代码代表了该问题（尽管它不是导致该问题的原始代码 - 这是该问题的简化演示）。

Set wmiProvider = GetObject("winmgmts:\\.\root\MicrosoftIISv2")
If wmiProvider is Nothing Then
Response.Write "Failed to get WMI provider MicrosoftIISv2<br>"
End If

Response.Write "Querying for IISWebService...<br>"
Set colItems = wmiProvider.ExecQuery("Select * From IISWebServer",,0)
Response.Write "Error: " & Hex(Err.Number) & " (" & Err.Description & ")<br>"

如果我在浏览器中运行此命令，则会在 ExecQuery 调用后报告访问被拒绝错误。我已经从根分支一直向下设置了 IUSR_ 用户的 WMI 访问权限。事实上，我可以很高兴地使用 CIMV2 提供程序查询 IP 地址信息。如果我将 IUSR 用户放入计算机管理员组中，一切都会正常，但我真的不想这样做。

这肯定是 DCOM/WMI 安全问题，但我不知道还有什么问题。任何人都可以阐明吗？

Answer 1

在阅读 G. Stoynev 询问 Windows 日志中是否记录了任何事件的评论后，我检查了我尝试通过 WMI 远程访问 IIS 的服务器上的事件日志，你瞧，我发现了一个包含以下文本的事件：

对 root\WebAdministration 命名空间的访问被拒绝，因为该命名空间标记有 RequiresEncryption，但脚本或应用程序尝试使用低于 Pkt_Privacy 的身份验证级别连接到此命名空间。将身份验证级别更改为 Pkt_Privacy 并再次运行脚本或应用程序。

请参阅相关 SO 问题的此答案中的代码c# - WMI 出现“访问被拒绝”异常。

下面是我添加的一些示例 C# 代码，它似乎可以为我解决这个问题：

ConnectionOptions options = new ConnectionOptions();
options.Authentication = AuthenticationLevel.PacketPrivacy;
ManagementScope managementScope = new ManagementScope(@"\\remote-server\root\WebAdministration", options);
// ...

Answer 2

如果您打算将其作为自己或管理员的工具运行（而不是未经洗礼的匿名群众），那么这是我过去使用过的一种方法（YMMV）：

1. 在您的网站中设置一个新目录（例如 /SiteCreate）并将您的 WMI 脚本放置在那里
2. 配置具有适当权限的 Windows 用户（在本例中可能是管理员，但您应该使用与您的应用程序相关的任何内容）
3. 关闭关闭对目录的匿名访问您在步骤 1 中创建，然后将安全性设置为仅允许访问您在步骤 2 中创建的用户（打开该目录的身份验证）

现在，当您在浏览器中导航到该目录时，您应该会收到登录提示。当您输入在步骤 2 中创建的用户名/密码时，您的脚本将具有执行 WMI 请求的适当权限。

Answer 3

不是 DCOM 问题，更重要的是 WMI 安全和加密问题。尝试更改 GetObject 名字以包含模拟和 pktPrivacy，例如：

Set wmiProvider = GetObject("winmgmts:{impersonationLevel=impersonate;authenticationLevel=pktPrivacy}!\root\MicrosoftIISv2")

请参阅以下 MS 文章欲了解更多信息：
http://msdn.microsoft.com/en -us/library/aa393618(v=vs.85).aspx